ISO 27001.
Opbyg et ledelsessystem for informationssikkerhed, styr risici, og vælg passende dokumentation til kunder og aftalepartnere.
- ISO/IEC 27001:2022 + Amd 1:2024
- Af Jonathan Bezdek
- Status: 22.10.2026
- Læsetid: 7 min.
Kort svar.
ISO 27001 er den internationale standard for ledelsessystemer for informationssikkerhed, forkortet ISMS. Den beskriver, hvordan organisationer risikobaseret organiserer, driver og forbedrer informationssikkerheden. ISO/IEC 27001:2022 gælder for forskellige størrelser og brancher. Et uafhængigt certificeringsorgan kan bekræfte ledelsessystemets overensstemmelse inden for det fastlagte anvendelsesområde; ISO udsteder ikke selv certifikater.
ISO 27001 og ISMS.
ISO 27001 beskriver krav til ledelse af informationssikkerhed. Et ISMS forbinder ledelsens beslutninger med håndteringen af informationer, mennesker, processer og teknik. Fortrolighed, integritet og tilgængelighed beskyttes: Hvem må se informationerne, hvordan forbliver de pålidelige, og hvornår skal de kunne bruges? Den offentlige beskrivelse af ISO/IEC 27001:2022 sætter en risikobaseret tilgang i centrum.
Den offentliggjorte grundudgave er ISO/IEC 27001:2022; hertil kommer Amd 1:2024. Ændringen supplerer behandlingen af klimarelaterede emner i ledelsessystemets kontekst. Ifølge den fælles ISO/IAF-meddelelse fra februar 2024 handler det om at undersøge deres relevans for det enkelte ledelsessystem. Det medfører ikke et identisk foranstaltningsprogram for alle organisationer.
ISMS’et er organisationens løbende arbejde, mens certificeringen er en mulig ekstern dokumentation af dette. Et indført værktøj, et udfyldt spørgeskema eller et uddannelsesbevis erstatter hverken driften af ledelsessystemet eller den uafhængige vurdering af det.
Hvem ISO 27001 egner sig til.
Ifølge ISO’s offentlige beskrivelse egner ISO 27001 sig til organisationer af forskellige størrelser og i forskellige brancher. Informationerne og afhængighederne i det valgte anvendelsesområde er afgørende. En mindre tjenesteudbyder kan derfor have brug for andre ansvarsfordelinger og procedurer end en virksomhed med flere lokationer, uden at den grundlæggende sikkerhedsledelsesopgave ændres.
Kundekrav bestemmer ofte det nødvendige certificeringsomfang. Afklar, om en aftalepartner ønsker en bestemt tjeneste, en lokation eller en juridisk person vurderet. Et bevidst afgrænset omfang skal tage højde for relevante grænseflader. En outsourcet aktivitet forsvinder ikke fra sikkerhedsvurderingen, blot fordi en leverandør udfører den.
Kravene i ISO 27001.
ISO 27001-kravene forbinder styringen af ISMS’et med driften af passende sikkerhedsforanstaltninger. Følgende seks arbejdsområder sammenfatter kapitel 4 til 10 i ISO/IEC 27001:2022 med egne ord som orientering.
Fastlæg kontekst og anvendelsesområde.
Organisationen afgrænser de aktiviteter og informationer, som dens ISMS omfatter. Det inkluderer relevante krav fra interessenter og afhængigheder til andre områder. Ved implementeringen anbefales en beskrivelse, som både fagligt ansvarlige og eksterne læsere forstår: Et tjenestenavn alene forklarer endnu ikke de understøttende systemer og grænseflader.
Forankr ledelse og ansvar.
Ledelsen giver sikkerhedsarbejdet retning, beføjelser og ressourcer. Ansvarlige skal kunne træffe beslutninger, der passer til deres opgaver. En central koordinator kan bevare overblikket; vedkommende overtager ikke dermed automatisk alle opgaver i HR, indkøb, IT eller udvikling.
Vurder og håndter risici.
Risikovurdering og risikohåndtering bestemmer, hvilke problemer der behandles først. Vurderingskriterier, ansvarlige personer og sporbare beslutninger forbinder analysen med konkret arbejde. Erklæringen om anvendelighed, også kaldet Statement of Applicability eller SoA, dokumenterer valget af foranstaltninger og begrundelsen. Bilag A fungerer som reference for sikkerhedsforanstaltninger.
Organiser ressourcer og dokumentation.
Kompetencer, kommunikation og ajourførte dokumenterede informationer understøtter driften. Fastlæg i praksis, hvem der godkender en bestemmelse, hvem der anvender den, og hvor den gældende version findes. En omfattende dokumentsamling hjælper kun lidt, hvis dens udsagn afviger fra det faktiske arbejde, eller de ansvarlige ikke kender deres opgaver.
Anvend foranstaltninger i hverdagen.
Sikkerhedsforanstaltninger skal faktisk fungere inden for det valgte omfang. Organisatoriske, personalemæssige, fysiske og tekniske tiltag spiller sammen. Som praktisk hjælp kan de ansvarlige for hver valgt foranstaltning dokumentere den proces, den beskytter, og de registreringer, der viser driften. Blogindlægget om bilag A uddyber valg og drift af foranstaltninger.
Vurder og forbedr.
Interne audits, ledelsesevalueringer og håndtering af afvigelser holder ISMS’et i bevægelse. Organisationen undersøger, om dens arbejdsform passer til kravene og understøtter de ønskede resultater. I hverdagen er det nyttigt allerede ved en korrektion at fastlægge, hvordan virkningen senere skal kunne konstateres.
Vejen til ISO 27001-certificering.
Aftal mål og omfang.
Afklar som praktisk begyndelse, hvilken dokumentation der kræves for hvilken aktivitet, og beskriv anvendelsesområdet inklusive relevante afhængigheder.
Fastlæg ansvar og kapacitet.
Udpeg den beslutningskompetente ledelse, koordineringen og de procesansvarlige, og afsæt tid til indførelse og løbende vedligeholdelse.
Arbejd med risici og foranstaltninger.
Anvend en sporbar vurderingsmetode, træf beslutning om håndteringen, og dokumenter valget af foranstaltninger i erklæringen om anvendelighed.
Forbind drift og dokumentation.
Gennemfør de valgte foranstaltninger, og opbevar passende registreringer fra den faktiske drift i stedet for blot at udfylde dokumentskabeloner.
Vurder og korriger internt.
Brug intern audit og ledelsesevaluering til at behandle åbne beslutninger, afvigelser og ressourcebehov før en ekstern revision.
Planlæg ekstern revision og fortsat drift.
Aftal omfang og auditprogram med et egnet certificeringsorgan, og fortsæt driften af ISMS’et efter certificeringsafgørelsen med de nødvendige kontroller.
Hvad ISO 27001-certifikatet siger.
ISO 27001-certifikatet bekræfter den vurderede overensstemmelse af ledelsessystemet inden for det angivne anvendelsesområde. Undersøg derfor omfanget, standardudgaven, udstederen samt gyldighedsdato og aktuel status samlet. Certifikatet garanterer ikke, at alle virksomhedsområder er omfattet, eller at der ikke kan forekomme sikkerhedshændelser i fremtiden.
Eksterne certificeringsorganer udfører certificeringen; ISO udsteder ikke selv certifikater. ISO/IEC 27006-1:2024 supplerer kravene til sådanne organer ved ISMS-certificering. Akkreditering vedrører deres kompetence og skal skelnes fra den undersøgte organisations certifikat. ISO’s offentlige side om certificering forklarer, hvordan certificerings- og akkrediteringsstatus kan kontrolleres.
Planlægningen slutter ikke med den første udstedelse. Få Deres certificeringsorgan til at forklare auditprogrammet, betingelserne for opretholdelse og fornyelsesproceduren. I budgetbeslutningen indgår disse tilbagevendende ydelser sammen med den interne drift, og ikke kun det første tilbud.
Læs videre på bloggen.
- Hvad er et ISMS?Forbind sikkerhedsarbejdet med organisationens beslutninger.
- Forbered ISO 27001-certificeringPlanlæg forberedelse, indsats og revisioner i detaljer.
- ISO 27001 bilag AForankr valgte foranstaltninger i driften.
- Intern ISO 27001-auditOrganiser auditkriterier, dokumentation og korrektioner.
- ISO 27001-tjeklisteSorter arbejdsområder og eksisterende hjælp til opstart.
Forstå andre rammeværker.
ISO 27002 supplerer ISO 27001 med vejledning om implementering af informationssikkerhedsforanstaltninger. IT-Grundschutz beskriver en BSI-metode til sikkerhedsarbejdet og en særskilt certificeringsvej. NIS2 skaber selvstændige lovpligter for omfattede enheder; et ISO 27001-certifikat erstatter ikke undersøgelsen af dem. TISAX bruger en særskilt vurderings- og udvekslingsordning for bilindustriens forsyningskæde.
I Secani.
Secani stiller sit eget redaktionelle kontrolkatalog til ISO/IEC 27001:2022 med Amendment 1:2024 til rådighed. I arbejdsområdet kan foranstaltninger, dokumentation og opgaver behandles i sammenhæng. Kataloget indeholder egne implementeringsvejledninger og erstatter ikke den licenserede standardtekst; den faglige vurdering og certificeringsafgørelsen er fortsat særskilte opgaver.
Begynd med et konkret anvendelsesområde.
Vælg en tjeneste, hvor der er brug for sporbar sikkerhedsdokumentation. Dokumenter de tilhørende informationer, involverede teams og leverandører, og hvem der må træffe beslutning om risici. Med dette grundlag kan implementeringsomfanget og forventningerne til et certifikat drøftes.
Bed derefter om et audittilbud på samme grundlag for omfanget. Adskil den interne indsats, nødvendige forbedringer og omkostningerne ved den eksterne revision. Dermed bliver tilbud mere sammenlignelige, uden at der allerede loves en certificeringsdato eller et resultat.
Kilder.
- ENX: TISAX-deltagerhåndbog
- ISO/IEC 27001:2022 – offentlig standardside
- ISO/IEC 27001:2022/Amd 1:2024
- ISO/IAF-meddelelse om klimarelaterede tilføjelser, februar 2024
- ISO – certificering og akkreditering
- ISO/IEC 27006-1:2024 – krav til certificeringsorganer
- ISO/IEC 27002:2022 – supplerende implementeringsvejledning
Ofte stillede spørgsmål.
Nej, der er ingen generel pligt til ISO 27001-certificering for alle virksomheder. Om en konkret dokumentation kræves, afhænger af gældende lovmæssige, kontraktlige eller branchespecifikke krav.
En pålidelig standardpris kan ikke angives uden anvendelsesområde og udgangspunkt. Planlæg intern indsats, nødvendige forbedringer og eksterne auditomkostninger samt løbende opretholdelse hver for sig.
Valget afhænger af risici og relevante krav. Erklæringen om anvendelighed dokumenterer nødvendige foranstaltninger, deres implementeringsstatus og begrundede udeladelser af referenceforanstaltninger.
Ja. Implementering af et ISMS og certificering ved et eksternt organ er forskellige beslutninger; ISO beskriver certificering som en valgfri dokumentation.
Nej. Eksterne certificeringsorganer udsteder certifikater; ISO udvikler og offentliggør standarderne.
Afklar anvendelsesområdet.
Tal om, hvordan De kan arbejde med krav, foranstaltninger og dokumentation i Secani.
Denne side forklarer ISO 27001 med egne ord og erstatter ikke den licenserede standardtekst eller en faglig revision. Originalpublikationerne og den gældende certificeringsprocedure er afgørende.